Whitepaper. IPSec Client/Router. Ausgabe

Transkript

1 IPSec Client/Router Whitepaper Ausgabe Systeme Helmholz GmbH Hannberger Weg 2 D Großenseebach Phone Fax info@helmholz.de

2 Hinweise Alle Rechte, auch die der Übersetzung, des Nachdruckes und der Vervielfältigung dieses Whitepapers, oder Teilen daraus, vorbehalten. Kein Teil des Whitepapers darf ohne schriftliche Genehmigung der Systeme Helmholz GmbH in irgendeiner Form (Fotokopie, Mikrofilm oder andere Verfahren), auch nicht für Zwecke der Unterrichtsgestaltung, oder unter Verwendung elektronischer Systeme reproduziert, verarbeitet, vervielfältigt oder verbreitet werden. Alle Rechte für den Fall der Patenterteilung oder Gebrauchsmustereintragung vorbehalten. Wir freuen uns über Verbesserungsvorschläge und Anregungen. Copyright 2015 by Systeme Helmholz GmbH Hannberger Weg Großenseebach Windows ist ein eingetragenes Markenzeichen der Microsoft Corporation.

3 Inhalt 1 Allgemein Informationen zu diesem Whitepaper Hinweise zu VPN IPSec - Client/Router Verbindung (mit Assistent) Einstellungen im REX Tunnelverbindung konfigurieren, herstellen und beenden Verbindungsaufbau über den Verbindungsclient "client.pbk": Verbindungsaufbau über das Windows-Netzwerk IPSec Client/Router Ausgabe

4 1 Allgemein 1.1 Informationen zu diesem Whitepaper Dieses Dokument beschreibt zusätzliche REX 300 Funktionalitäten und die dafür erforderlichen Einstellungen anhand von Beispielen. Die notwendigen Grundkenntnisse zum Umgang mit den REX- Routern werden vorausgesetzt. Der Inhalt dieses Whitepapers ist von auf die Übereinstimmung mit der beschriebenen Hard- und Software überprüft worden. Da dennoch Abweichungen nicht ausgeschlossen sind, kann die Systeme Helmholz GmbH für die vollständige Übereinstimmung keine Gewährleistung übernehmen. Bitte beachten Sie beim Einsatz der erworbenen Produkte die jeweils aktuellste Version des Handbuches, die im Internet unter einsehbar ist und heruntergeladen werden kann. Projektierungs-, Ausführungs- und Bedienungsfehler können den ordnungsgemäßen Betrieb der REX- Geräte beeinträchtigen und Personen-, Sach- oder Umweltschäden zur Folge haben. Es darf nur ausreichend qualifiziertes Fachpersonal die REX-Geräte bedienen! 1.2 Hinweise zu VPN VPN-Verbindungen von einem Client-PC zu einem REX 300, der den VPN-Server darstellt, können nur aufgebaut werden, wenn der Internetverbindung erlaubt ist eingehende Daten zum REX 300 zu senden. Das bedeutet, wenn eingehender Datenverkehr für Ihre Internetverbindung komplett gesperrt ist, dann können Sie keine VPN-Verbindung zu Ihrem REX 300 aufbauen. Zur Einrichtung der Netzwerkkonfiguration des REX300 und zur Freigabe der benötigten Ports und Dienste wenden sie sich bitte an den zuständigen Netzwerkadministrator. IPSec basiert auf UDP und benötigt die Ports 500 und 4500 als Quell- und Ziel-Ports. Der Tunnelaufbau erfolgt über das L2TP- Protokoll. Der VPN Tunnel wird Ihnen die Daten des Webinterfaces übermitteln und Sie können dann damit arbeiten. Das gleiche gilt, wenn sie die MPI/PROFIBUS-Schnittstelle nutzen möchten. Bei Verwendung von VPN muss die LAN-IP-Adresse des REX 300 im NETLink-Treiber (SH S7-NET) hinterlegt werden, um über VPN auf die MPI/PROFIBUS-Schnittstelle zugreifen zu können. Es können zwei Arten von Verschlüsselungen gewählt werden. Im hier beschriebenen Beispiel wird ein selbst generierter statischer Schlüssel verwendet. Mit diesem vordefinierten Schlüssel können nicht mehrere gleichzeitige IPSec-Verbindungen zu einem IPSec-Server aufgebaut werden. Eine Beschreibung zur Verwendung von X.509 Zertifikaten ist nicht Bestandteil dieser Dokumentation. IPSec Client/Router Ausgabe

5 1.3 IPSec - Client/Router Verbindung (mit Assistent) Auf den folgenden Seiten wird beschrieben wie Sie eine IPSec-Verbindung zwischen einem Client-PC und dem REX 300, mit Hilfe des integrierten Assistenten, herstellen. Die Anleitung bezieht sich auf einen kabelgebundenen REX 300, der als klassischer Router konfiguriert ist und einem internetfähigen Windows 7 PC. Internet WAN-IP-Adresse: IPSec IP-Subnetz: /24 LAN-IP-Adresse: Statische, aus dem Internet erreichbare IP Adresse am Einsatzort des REX 300 Default IP Adresse im Auslieferzustand IPSec Client/Router Ausgabe

6 2 Einstellungen im REX 300 Mit Hilfe des integrierten Assistenten wird jetzt beschrieben welche Schritte notwendig sind, um eine IPSec Verbindung zu konfigurieren. Öffnen Sie das Webinterface des REX 300 in einem Standardbrowser. In diesem Beispiel wird davon ausgegangen, dass die Standard LAN IP Adresse der Werkseinstellung aktiv ist. Demzufolge muss die IP-Adresse in der Adressleiste des Browsers eingegeben werden. Nach erfolgreicher Webinterfaceanmeldung wird die First Start Seite angezeigt: Bei Bedarf ist die Sprachauswahl oben rechts zu finden. Klicken Sie für die nun folgenden Schritte das Feld klassischer Router". Die First Start -Seite wird nur beim Start des Routers im Auslieferungszustand angezeigt. Einmal ausgewählt, ist der Wechsel zwischen Portalserver und klassischer Router nur nach einem Rücksetzen auf Werkseinstellungen möglich. Daraufhin öffnet sich das Fenster mit den Systeminformationen. In der oberen Menüleiste gelangen Sie zum Assistenten. IPSec Client/Router Ausgabe

7 In den nun beschriebenen Erklärungen wird davon ausgegangen, dass auch der WAN Zugang zum Internet bereits erfolgreich parametriert worden ist! Über die Wizards können die wichtigsten Einstellungen Mithilfe eines Assistenten einfach vorgenommen werden. Für die hier beschriebene Prozedur ist zu beachten, dass im Auswahlmenü die IPSec Methode angewählt ist. Mit einem Mausklick auf den Button Start wird der VPN Assistent gestartet. Da der LAN- & Internet-Assistent noch nicht ausgeführt worden sind, erscheint folgender Warnhinweis: Wie bereits erwähnt, werden die korrekten LAN und WAN Einstellungen in diesem Beispiel vorausgesetzt. Markieren Sie deshalb die Checkbox und klicken auf "Start". Die daraufhin folgende Information wird mit Weiter > bestätigt. IPSec Client/Router Ausgabe

8 Auf dieser Seite wird die Client-Router Verbindung ausgewählt und mit Weiter > bestätigt. In diesem Schritt erstellen sie einen statischen Schlüssel, Zahlen, Buchstaben und Sonderzeichen sind möglich. Dieser wird auch PSK(Preshared Key) genannt. Klicken Sie auf den Button Weiter >. Die in diesem Fenster zur Verfügung gestellte Client Datei müssen Sie nun herunterladen und auf dem Client PC ablegen. Der Dialog kann danach mit Weiter > bestätigt werden. Folgendes Hinweisfeld mit Fertigstellen quittieren. IPSec Client/Router Ausgabe

9 Der REX 300 wird daraufhin die Konfiguration übernehmen. Dieser Prozess dauert ca. 30 Sekunden. Sobald in der Assistentenbildschirmmaske ein grüner Haken vor dem VPN-Assistenten erscheint, ist der zuvor beschriebene Vorgang erfolgreich abgeschlossen. IPSec Client/Router Ausgabe

10 3 Tunnelverbindung konfigurieren, herstellen und beenden Mit dem von Ihnen heruntergeladenen Verbindungsclient client.pbk kann mit wenig Aufwand eine IPSec-Verbindung zum REX300 konfiguriert und aufgebaut werden. Im darauffolgenden Kapitel wird dann noch ein alternativer Weg eine IPSec Verbindung zum REX300 zu konfigurieren und aufzubauen beschrieben. 3.1 Verbindungsaufbau über den Verbindungsclient "client.pbk": Öffnen Sie die zuvor heruntergeladene "client.pbk" und klicken sie auf "Eigenschaften" Tragen Sie unter dem Reiter "Allgemein" die öffentliche IP-Adresse (WAN) des REX300 ein. Unter Optionen setzen sie die Häkchen für "Status während des Wählens anzeigen" und "Name, Kennwort, Zertifikat usw abfragen". Das Häkchen bei "Windows -Anmeldedomäne einbeziehen" soll nicht gesetzt sein. IPSec Client/Router Ausgabe

11 Unter dem Reiter "Sicherheit" stellen Sie den "VPN-Typ" auf Automatisch und geben unter "Erweiterte Einstellungen" im Reiter "L2TP" bei Vorinstallierten Schlüssel für Authentifizierung verwenden ihren VPN-Schlüssel ein. Bestätigen sie mit OK. Die "Datenverschlüsselung" sollte auf "Erforderlich" oder "Maximale" stehen damit nur verschlüsselte Verbindungen aufgebaut werden. Unter dem Reiter "Netzwerk" entfernen sie die Hacken bei Datei- und Druckerfreigabe und Client für MS-Netzwerke". "IPv6" kann zur Reduzierung des Traffics auch entfernt werden. Bestätigen sie mit OK um die Konfiguration abzuschließen. Klicken sie nun auf "Verbinden " und geben sie hier ihren Benutzernamen und ihr Passwort für den REX 300 ein. In diesem Beispiel sind das die Standardwerte Benutzername: helmholz; Passwort: router IPSec Client/Router Ausgabe

12 Verwenden sie für diese Art von Zugriffsmethoden niemals die Standardanmeldedaten. Ändern Sie die werksvoreingestellten Anmeldedaten des REX 300 aus Sicherheitsgründen im Webinterface unter System/Benutzer ab. Wenn Sie nun auf "Verbinden" klicken öffnet sich das Statusfenster für den Verbindungsaufbau. Nach erfolgreichem Verbindungsaufbau verschwindet das Fenster automatisch in den Hintergrund. Nun können sie zum Beispiel die LAN-IP Adresse des entfernten REX 300 erreichen und z.b. das Webinterface mit der URL: öffnen. Natürlich können jetzt dann auch andere Teilnehmer erreicht werden, die sich im IP-Bereich /24 befinden und LAN-seitig mit dem REX300 verbunden sind. Wenn sie die Verbindung beenden wollen öffnen sie die "client.pbk" erneut und klicken sie auf "Auflegen". 3.2 Verbindungsaufbau über das Windows -Netzwerk Im Folgenden wird eine zweite Möglichkeit beschrieben die Tunnelverbindung zu realisieren. IPSec Client/Router Ausgabe

13 Öffnen Sie das "Netzwerk und Freigabecenter" in der Windows "Systemsteuerung" und klicken sie dort auf Neue Verbindung oder neues Netzwerk einrichten Wählen Sie die Verbindungsoption Verbindung mit dem Arbeitsplatz herstellen Klicken Sie nun auf Die Internetverbindung (VPN) verwenden IPSec Client/Router Ausgabe

14 Tragen sie unter "Internetadresse" die öffentliche IP-Adresse (WAN) des REX300 ein und geben Sie der Verbindung einen Namen ("Zielname"). Aktivieren sie Jetzt nicht verbinden und klicken auf weiter. Geben Sie nun ihren Benutzernamen und ihr Passwort für den REX 300 ein. Verwenden sie für diese Art von Zugriffsmethoden niemals die Standardanmeldedaten. Ändern Sie die werksvoreingestellten Anmeldedaten des REX 300 aus Sicherheitsgründen im Webinterface unter System/Benutzer ab. In diesem Beispiel sind das die Standardwerte Benutzername: helmholz; Passwort: router Klicken sie auf Erstellen. IPSec Client/Router Ausgabe

15 Klicken sie auf "Schließen" um den Assistenten zu beenden. Gehen sie nun auf das Netzwerksymbol in der Taskleiste. Dort sehen sie die eben erstellte Verbindung öffnen Sie mit Rechtsklick ein Menü über das sie in die Eigenschaften gelangen. Klicken sie auf "Eigenschaften" und verfahren Sie in den weiteren Schritten wie bei der Konfiguration der client.pbk in Kapitel 3.1 beschrieben. Um die Verbindung wieder zu trennen gehen Sie wieder in der Taskleiste auf das Netzwerksymbol. Neben der aktiven Netzwerk-Verbindung befindet sich der Button "Trennen". Benutzen Sie diesen, um die Verbindung zu beenden. IPSec Client/Router Ausgabe